Web SurvivalScan

By 曾哥(AabyssZG) && jingyuexing

✈️一、工具概述

在日常工作的滲透測試過程中，經常會碰到滲透測試項目，而Web滲透測試通常是滲透項目的重點或者切入口

通常拿到正規項目授權後，會給你一個IP資產列表和對應的Web資產地址，這時候就需要我們進行快速存活驗證

如圖，這個項目給了一萬多個IP，並列出了對應的Web資產地址，這個時候就需要快速驗證資產存活

網上找了一圈，都沒什麼好用的工具。於是，就寫了這個Web資產存活檢測小工具：Web-SurvivalScan

如果這個工具幫助到了你，歡迎賞個Star~哈哈

二、TODO

• 修復網頁Title為空導致報錯的Bug
• 支持批量訪問固定路徑（驗證簡單漏洞的時候巨有效）
• 支持在導出HTML界面裡面顯示標題，更方便確認資產信息
• 支持對HTTP代理進行校驗，檢驗代理可用性
• 支持使用HTTP/HTTPS代理所有流量，並可以使用HTTP認證
• 支持將:443自動識別轉換為https://
• 支持讀取多種編碼格式的TXT（ANSI和UTF-8均支持）
• 支持導出HTML文件，方便資產的可視化整理
• 多線程掃描，1萬條Web資產實測20分鐘左右跑完
• 存活驗證時使用隨機User-Agent請求頭
• 解決目標SSL證書問題(自簽名證書請改成http://即可)
• 智能識別目標地址( example.com和http://example.com:8080以及http://example.com都不會報錯)

三、安裝Python依賴庫

 pip3 install -r requirements.txt

? 四、工具使用

首先，需要將目標Web資產批量複製到TXT內，並將該TXT放到本腳本同目錄，如下圖：

注：本腳本能智能識別目標地址( example.com和http://example.com:8080以及http://example.com都不會報錯)

 # python3 Web-SurvivalScan.py

              ╦ ╦┌─┐┌┐
              ║║║├┤ ├┴┐
              ╚╩╝└─┘└─┘
╔═╗┬ ┬┬─┐┬  ┬┬┬  ┬┌─┐┬  ╔═╗┌─┐┌─┐┌┐┌
╚═╗│ │├┬┘└┐┌┘│└┐┌┘├─┤│  ╚═╗│  ├─┤│││
╚═╝└─┘┴└─ └┘ ┴ └┘ ┴ ┴┴─┘╚═╝└─┘┴ ┴┘└┘
             Version: 1.11
Author: 曾哥(@AabyssZG) && jingyuexing
 Whoami: https://github.com/AabyssZG

请输入目标TXT文件名
FileName >>> 【TXT文件名】
请输入需要访问的路径（无则回车）
DirName >>> 【需要批量访问的路径】
请输入代理IP和端口（无则回车）
Proxy >>> 【HTTP认证账号:HTTP认证密码@代理IP:端口】
Proxy >>> 【代理IP:端口（没有HTTP认证的情况下）】

跑完後，即可拿到導出的兩個文件： output.txt和outerror.txt

• output.txt ：導出驗證存活成功（狀態碼200）的Web資產
• outerror.txt ：導出其他狀態碼的Web資產，方便後期排查遺漏和尋找其他脆弱點
• .data/report.json ：所有資產的運行數據，按JSON格式導出，方便處理
• report.html ：將所有資產進行HTML可視化導出，方便整理

五，感謝各位師傅

Stargazers

Forkers

Star History